Wat zijn de PII-verwerkerscontroles in ISO 27701:2025?
Tabel A.2 van bijlage A van ISO 27701:2025 definieert 18 beheersmaatregelen die van toepassing zijn op elke organisatie die optreedt als verwerker van persoonsgegevens. Een verwerker van persoonsgegevens verwerkt persoonsgegevens namens en onder instructie van een verantwoordelijke voor de verwerking van persoonsgegevens.
Deze beheersmaatregelen zijn onderverdeeld in vier doelstellingen:
- Voorwaarden voor verzameling en verwerking (A.2.2) — 6 beheersmaatregelen met betrekking tot klantovereenkomsten, doelbeperkingen, marketingbeperkingen en registraties
- Verplichtingen jegens PII-principals (A.2.3) — 1 controlemaatregel met betrekking tot nalevingsondersteuning aan de klant
- Privacy door ontwerp en privacy standaard (A.2.4) — 3 beheersmaatregelen met betrekking tot tijdelijke bestanden, teruggave/verwijdering van persoonsgegevens en verzending
- Delen, overdragen en openbaar maken van persoonsgegevens (A.2.5) — 8 beheersmaatregelen met betrekking tot overdrachten, openbaarmaking en het beheer van onderaannemers
Implementatierichtlijnen voor elke controle zijn te vinden in bijlage B, sectie B.2 (bijvoorbeeld richtlijnen voor A.2.2.2 Klantenovereenkomst zijn te vinden in B.2.2.2).
Volledige lijst van controles in tabel A.2
| Controleer: | Onderwerp | Samenvatting |
|---|---|---|
| A.2.2.2 Klantenovereenkomst | Klantenovereenkomst | Zorg ervoor dat contracten de rol van de verwerker bij het nakomen van de verplichtingen van de klant duidelijk omschrijven. |
| A.2.2.3 Doelstellingen van de organisatie | Doelstellingen van de organisatie | Verwerk persoonsgegevens uitsluitend voor de doeleinden die in de gedocumenteerde instructies van de klant staan vermeld. |
| A.2.2.4 Marketing en reclame | Marketing en reclamegebruik | Gebruik gecontracteerde persoonsgegevens niet voor marketingdoeleinden zonder de juiste toestemming van de betrokkene. |
| A.2.2.5 Inbreukmakende instructie | Inbreukmakende instructie | Informeer de klant als een verwerkingsinstructie in strijd is met de toepasselijke wetgeving. |
| A.2.2.6 Verplichtingen van de klant | Verplichtingen van de klant | Geef de klant informatie om aan te tonen dat hij/zij aan de eisen voldoet. |
| A.2.2.7 Registraties van de verwerking van persoonsgegevens | Gegevens met betrekking tot de verwerking van persoonsgegevens | Houd documentatie bij waaruit blijkt dat aan de contractuele verplichtingen met betrekking tot persoonsgegevens is voldaan. |
| A.2.3.2 Verplichtingen jegens PII-principals | Voldoen aan de verplichtingen jegens de betrokkenen bij de verwerking van persoonsgegevens. | Geef de klant de middelen om te voldoen aan de verplichtingen van de PII-hoofdverzekeraar. |
| A.2.4.2 Tijdelijke bestanden | Tijdelijke bestanden | Verwijder tijdelijke bestanden van de verwerking van persoonsgegevens binnen een gedocumenteerde periode. |
| A.2.4.3 Retourneren, overdragen of afvoeren | Teruggave, overdracht of verwijdering van persoonsgegevens | Stuur persoonsgegevens veilig terug, draag ze over of verwijder ze, en maak het beleid beschikbaar. |
| A.2.4.4 PII-transmissiebesturing | PII-transmissiecontroles | Persoonsgegevens van de betrokkene worden via netwerken naar de juiste controleorganen verzonden. |
| A.2.5.2 Grondslag voor PII-overdracht | Grondslag voor de overdracht van persoonsgegevens tussen rechtsgebieden | Informeer de klant tijdig over de grondslag voor internationale overdrachten van persoonsgegevens. |
| A.2.5.3 Landen voor de overdracht van persoonsgegevens | Landen en internationale organisaties voor de overdracht van persoonsgegevens. | Specificeer en documenteer de landen en organisaties waarnaar persoonsgegevens kunnen worden overgedragen. |
| A.2.5.4 Registraties van openbaarmakingen van persoonsgegevens | Registraties van openbaarmakingen van persoonsgegevens aan derden | Leg openbaarmakingen van persoonsgegevens vast, inclusief wat er is openbaar gemaakt, aan wie en wanneer. |
| A.2.5.5 Verzoeken om openbaarmaking van persoonsgegevens | Melding van verzoeken om openbaarmaking van persoonsgegevens | Stel de klant op de hoogte van eventuele juridisch bindende verzoeken om openbaarmaking. |
| A.2.5.6 Juridisch bindende openbaarmakingen | Juridisch bindende openbaarmaking van persoonsgegevens | Niet-bindende verzoeken afwijzen en de klant raadplegen alvorens informatie openbaar te maken. |
| A.2.5.7 Openbaarmaking van onderaannemers | Openbaarmaking van onderaannemers die worden gebruikt voor de verwerking van persoonsgegevens. | Informeer de klant voorafgaand aan het gebruik of er onderaannemers worden ingeschakeld. |
| A.2.5.8 Inschakelen van onderaannemers | Inschakeling van een onderaannemer voor de verwerking van persoonsgegevens | Schakel onderaannemers alleen in volgens het contract met de klant. |
| A.2.5.9 Wijziging van onderaannemer | Wijziging van onderaannemer voor de verwerking van persoonsgegevens | Informeer de klant over de voorgenomen wijzigingen van de onderaannemer en geef hem de mogelijkheid bezwaar te maken. |
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Hoe verhouden de controlemechanismen voor verwerkers zich tot de AVG?
Tabel A.2 sluit voornamelijk aan op artikel 28 (verplichtingen van de verwerker) en artikel 30 (registratie van verwerkingen) van de AVG . Belangrijkste verbanden:
- A.2.2.2 Klantenovereenkomst–3 (Overeenkomsten en doeleinden) → Art. 28(3)(a), Art. 29 — verwerking onder verantwoordelijkheid van de verwerkingsverantwoordelijke
- A.2.2.7 Registraties van de verwerking van persoonsgegevens (Records) → Art. 30(2–5) — verwerkingsregistraties van verwerkingsactiviteiten
- A.2.4.3 Retourneren, overdragen of afvoeren (Retourneren/verwijderen) → Art. 28(3)(g) — verwijdering of teruggave na afloop van de dienst
- A.2.5.7 Openbaarmaking van onderaannemers–9 (Onderaannemers) → Art. 28(2–4) — autorisatie van subverwerkers en wijzigingen
Wat is er verder nog van toepassing op PII-verwerkers?
Tabel A.2 is niet de volledige set vereisten voor PII-verwerkers. U moet ook de toepasselijke beheersmaatregelen uit Tabel A.3 (gedeelde beveiligingsmaatregelen) implementeren , die betrekking hebben op de basisprincipes van informatiebeveiliging, zoals toegangscontrole, incidentbeheer, cryptografie en logboekregistratie.
Waarom kiezen voor ISMS.online voor naleving van de PII-verwerkerswetgeving?
ISMS.online helpt u bij het implementeren en onderbouwen van elke controle uit Tabel A.2:
- Contractmanagement — Houd klantovereenkomsten, verwerkingsdoeleinden en nalevingsverplichtingen bij.
- Register van onderaannemers — Documenteer onderaannemers, hun locaties en de procedure voor het informeren van de klant.
- Overdrachtsgegevens — Houd een register bij van internationale overboekingen met documentatie van de wettelijke grondslag.
- Openbaarmakingsregistratie — Registreer alle openbaarmakingen van persoonsgegevens met details over wat, aan wie en wanneer.
- Procedures bij beëindiging van de dienstverlening — Documenteer en volg de processen voor het retourneren, overdragen of verwijderen van persoonsgegevens.
- Ondersteuning voor dubbele rol — Als u zowel controller als processor bent, beheer dan beide. Tabel A.1 en A.2 op één plek
Veelgestelde vragen
Waarom zijn er slechts 18 processorbesturingen in vergelijking met 31 controllerbesturingen?
Verwerkers van persoonsgegevens handelen in opdracht van de verwerkingsverantwoordelijke, waardoor veel privacybeslissingen (wettelijke grondslag, toestemming, rechten van de betrokkene) de verantwoordelijkheid van de verwerkingsverantwoordelijke zijn. De controlemechanismen van de verwerker richten zich op contractuele naleving, verwerkingsbeperkingen, beheer van onderaannemers en de afhandeling van openbaarmakingen.
Kan een organisatie zowel controller als processor zijn?
Ja. Veel organisaties fungeren als verwerkingsverantwoordelijke voor sommige verwerkingsactiviteiten en als verwerker voor andere. In dit geval zijn zowel tabel A.1 als tabel A.2 van toepassing, waarbij voor elke verwerkingsactiviteit een aparte rol wordt bepaald. Clausule 4.1 van ISO 27701:2025 vereist dat u uw rol voor elke verwerking van persoonsgegevens vaststelt.
Heb ik tabel A.3 ook nodig als processor?
Ja. Tabel A.3 (gedeelde beveiligingsmaatregelen) is van toepassing op zowel controllers als processors. Als processor moet u zowel de maatregelen van Tabel A.2 (processorspecifiek) als die van Tabel A.3 (gedeelde beveiliging) in uw toepassingsverklaring opnemen.
SaaS-organisaties vinden specifieke verwerkingsrichtlijnen in onze handleiding voor SaaS-platformen.
Ontdek hoe inkoopteams ISO 27701 gebruiken om verwerkers te evalueren in onze handleiding voor leveranciersevaluatie en onze handleiding voor inkoopvereisten.
